No.312 - ダブル・レインボー

先日、新聞を読んでいたらダブル・レインボー（二重の虹。二重虹）のことが出ていました。そして、以前にこのブログで引用した絵画を思い出しました。今回はそのことを書きます。

---

二重の虹

---

まず、ダブル・レインボーについて書かれた朝日新聞の記事を引用します。以降の引用において下線は原文にはありません。

5分間の奇跡　ダブルレインボー 朝日新聞 2021年4月8日(木）夕刊 奈良の里山にかかった二重の虹。第３７回「日本の自然」写真コンテスト（全日本写真連盟など主催）の入選作＝山本一朗さん撮影 虹が二重にかかる「ダブルレインボー」。豊富な水滴や強い太陽光などの条件がそろわないとめったにお目にかかれないため、幸運の象徴とも言われる珍しい現象だ。 大阪府の全日本写真連盟会員、山本一朗さん（75）は、祭りの撮影に訪れた奈良県天理市の里山で、雨宿り中に虹に気づいた。田んぼに駆け出ると、紅白のコブシの頭上に、二重の円弧が橋のようにかかっていた。その時間５分。「一生に一回あるかないか」。びしょぬれになってシャッターを切った。 内側の通常の虹（主虹）が、雨粒の中で太陽光が１回反射して七色の光の帯を見せるのに対し、外側にみえる虹（副虹）は２回反射する。色の並びが内側は赤、外側は紫と、主虹と反対であり、色も薄い。これは反射が１回多いせい。理論上、三重、四重の虹も存在するが、光量が弱く、見ることはできないそうだ。（石倉徹也）

ダブル・レインボーは私も２～３度、見たことがあります。最近では２年ほど前です。早朝、海岸の遊歩道を朝日を背に西に向かって歩いているときに、くっきりと見えました。雨上がりの、湿気のある空気がたちこめている雰囲気だったと記憶しています。

引用した記事には、ダブル・レインボーが見える条件として「豊富な水滴」「強い太陽光」とあります。確かにそうだと思いますが、私の感じではもう一つ条件があって、それは「暗い背景」だと思います。外側の副虹ふくこうは内側の主虹しゅこうに比べて輝度が随分低いわけです。記事にあるように、太陽光が水滴で２回反射するからです。従って、ダブル・レインボーの背景の空（や風景）は、できるだけ暗い方が虹が見えやすい。

私の経験した海岸の遊歩道でも、東の空は雲もなく明るいのに、虹が見える西の空は薄灰色の雲が立ちこめていました。黒雲だともっとはっきりと見えたのでしょう。普通の虹でも背景が重要だと思いますが、輝度が低いダブル・レインボー（の外側の虹）では一層重要である、そう思います。

ともかく、ダブル・レインボーは珍しい現象です。記事の見出しである「5分間の奇跡」の "奇跡" というのは少々言い過ぎだと思いますが、日常生活では滅多にお目にかかれない気象現象なのは確かでしょう。以下にダブル・レインボーが見える原理を示した図を引用しておきます。

ダブル・レインボーが見える原理

光の反射によってできる光線の角度は、主虹（１回反射）が約42度、２回反射した副虹は約51度で、副虹の方が角度が大きい。従って副虹が外側に見える。気象庁の荒木健太郎博士の Twitter より引用した。ちなみに荒木博士は新海誠監督の「天気の子」の気象監修をされた方である（No.271）。

---

このダブル・レインボーで思い出す芸術作品が、パリのオルセー美術館が所蔵しているミレーの『春』という作品です。

---

ジャン = フランソワ・ミレー

---

ジャン = フランソワ・ミレー （1814-1875） 「春」（1868-73）

オルセー美術館 （フランス、パリ）

左上に虹が描かれています。うっかりすると見過ごしそうですが、この虹はダブル・レインボーです。

近景は畑でしょうか。小道があって木立があります。遠方には林が見える。画面の下や左の方は暗いが、近景の半分から向こうの林にまで光が当たっています。雨上がりの光景なのでしょう。遠方の空には、雨を降らせたと思われる黒雲が立ちこめ、空は暗い。その黒雲を背景に、かすかに副虹が見えるダブル・レインボーがかかっています。黒雲の薄暗さが虹を引き立てていて、この雰囲気はダブル・レインボーを実際に見た経験とも合っています。虹の位置関係からすると、背後から強い光があたっているはずです。それは夕日を思わせます。

この絵の題名は『春』なので、春の情景なのでしょう。だけど、何となく幻想的な雰囲気です。手前から遠方に「暗・明・暗」と変化していて、暗と明の世界の同居というか、２つの世界の狭間の光景のような感じがあります。

そして ･･････。

よく見ると、奥の木立のそばに人物が描かれています。さらにもっとよく見ると、空には白い鳥が飛んでいる。これについて三菱一号館美術館の上席学芸員、安井裕雄氏が日本経済新聞にコラムを書いていました。

美の十選・鳥のいる情景 フランス近代絵画より（5） ジャン=フランソワ・ミレー「春」 安井裕雄 三菱一号館美術館 上席学芸員 日本経済新聞 （2021年3月23日） バルビゾン派の画家ミレーは、農民画家と呼ばれる。少なからぬ誤解を招く表現が生き延びているのは、ミレーが描く屋外労働が真に迫っているが為であろう。ノルマンディーの小村グレヴィルの外れの小集落グリュシーに生まれたミレーにとって自然と労働は、身近な存在であった。 パリでの修業を経てミレーはバルビゾンにたどり着く。東にフォンテーヌブローの森、西にはシャイイの平原が控え、豊かな自然にあふれたこの地の厳しい冬、仲間の画家がパリに引き揚げても、ミレーはバルビゾンにとどまった。大地の息吹をとらえたミレーの作品は、豊かな自然の恵みである。 ミレー家の裏には小さな畑があった。風景画家テオドール・ルソーは、裏の畑を通ってやってきたという。前衛的な批評家から高く評価されていたルソーだが、サロンでは不幸な落選を繰り返していた。最後には入選と名誉を手にしたが、ほどなくルソーはミレーの腕の中で息を引き取った。 裏の畑の木の下にいる人物はルソー、空を飛ぶ三羽の白い鳥は、天へと召されていくルソーの魂と解釈される。まもなくミレーの魂も、鳥になって飛び立っていく。 （  1868～73年、油彩、カンバス、86×111センチ、オルセー美術館蔵）

この絵には、うっかりすると見過ごしてしまいそうなアイテムが３つ描かれています。① ダブル・レインボー、② 人物、③ 鳥、の３つです。そして三菱一号館美術館 上席学芸員の安井氏によると、人物はミレーの腕の中で息を引き取ったテオドール・ルソーであり、鳥は天へと召されていくルソーの魂の象徴だというのです。テオドール・ルソーの没年は1867年です（55歳）。つまりこの絵はミレーが、亡くなったルソーの思い出を込めて描いたということになります。

とすると、これは少々複雑な絵です。バルビゾンのミレー家の裏の畑という現実の光景がベースなのだろうけれど、そこに幻想の光景が重ね合わされている。この複雑性が見る人の想像力を刺激するのでしょう。その刺激を受けた一人が黒澤明監督です。

---

黒澤 明

---

ミレーの『春』に触発された映画の一シーンがあります。黒澤明監督（1910-1998）の『夢』（1990）の一場面です。『夢』は８話からなるオムニバス映画で、その第１話が『日照り雨』です。その１シーンがこの映画のポスターになりました。

黒澤明監督作品 「夢」（1990）

近景は美しい花畑で、遠くには暗い山と空、その間をつなぐようにかかる虹、そこに向かうように少年が立っています。このシーンがミレーの『春』へのオマージュです。その『日照り雨』は、次のような話です。

立派な門構えの家から少年が遊びに出ようとしたとき、太陽は出ているのに急に雨が降り出した。少年は母親から「こんな日照り雨の日には狐の嫁入りがある。狐はそれを見られるのが嫌だから、見てしまうと恐ろしいことが起こりますよ」と警告される。

余計に好奇心に駆られた少年は森に分け入り、狐の嫁入りを見てしまう。そして家に帰ったとき、門には母親が恐い顔をして立っていて、少年に短刀を差し出した ･･････。

これを教訓話として考えると「人間は自然を乱すことなく、人間は自然界の掟に従って生きなければならない」ということでしょう。しかしそういう風に考えるよりも、これは黒澤監督の夢の実写化です。"不気味さ・怖さ" と "美しさ" が入り交じった幻想の世界と考えておけばよいのだと思います。

そこで、もう一度、ミレーの『春』をみると、手前は暗いがその向こうから林までに光が当たっています。まるでそのあたりがスポットライトに照らされているようです。これは虹の見える条件（＝背後からの強い光）とはちょっと違う感じがする。

黒澤監督は、ミレーの『春』は現実の光景ではない、幻想の光景だと感じたのではないかと思います。『夢』は、黒澤監督が見た夢を映像化したものです。当然、現実そのものではないファンタジーの世界です。それがミレーの『春』とシンクロした。黒澤監督はもともと画家志望です。自作を展覧会に出品したこともあります。映画監督になってからも、絵コンテを自ら大量に描いたことで有名です。ミレーの絵が好きだったのかどうかは知りませんが、絵画から何かを感じることには長たけていたと考えられます。

余談ですが、絵画からインスピレーションを得た映画として、以前にリドリー・スコット監督の２作品を紹介しました。ジェロームの絵画『差し下おろされた親指』からヒントを得た映画『グラディエーター』（No.203）と、ホッパーの『ナイトホークス』に影響された『ブレードランナー』（No.288）です。黒澤監督とスコット監督は似ていて、２人とも画家としての素養があり、また自ら映画の絵コンテを作成しました。

---

話を、ダブル・レインボーに戻します。しかしなぜ『春』に、滅多に見ることがないダブルレインボーが "微かすかに" 描かれているのでしょうか。黒澤明監督は "一重の普通の虹" で映像化しています。『春』も普通の虹でよいはずです。ここに描かれたダブル・レインボーも幻想の光景なのでしょうか。

しかし、これは現実の光景からヒントを得たのだと考えられます。つまり画家は、バルビゾンの自宅の裏庭から畑ごしにダブルレインボーを見たのだと推察します。というの、も『春』と構図がほぼ同じの『虹』という絵が残っているからです。

---

パステルで描かれたダブル・レインボー

---

その『春』とほぼ同じ構図のパステル画が、ポルトガルの首都・リスボンのグルベンキアン美術館にあります。No.192「グルベンキアン美術館」で引用しましたが、ここに再掲します。

ジャン = フランソワ・ミレー 「虹」（1872/73）

グルベンキアン美術館 （ポルトガル、リスボン）

この絵の題名は『虹』です。その題名どおり、ダブル・レインボーがくっきりと描かれている。これは実際に画家が自宅の裏の畑の方向を見た光景がもとになっていると考えられます。ミレーは、奇跡とは言わないまでも、滅多に出現しないダブル・レインボーを自宅から見て感じ入るところがあった。

このパステル画は、油彩画の『春』とほぼ同じ構図です。ただ、違いもあります。まず、奥の木立へと続く小道が描かれていません。また、空を飛ぶ白い鳥もいない。ただし、奥の木立のそばに小さく人物が描かれているところは共通しています。

ダブル・レインボーないしはもっと一般的に虹が、フランスでどういう象徴性で考えられているのかは知りません。しかし常識的に考えて悪い意味ではないと想像します。意味があるとしたら「幸運」とか「吉兆」でしょう。しかも滅多に見られないダブル・レインボーとなると、その象徴性が倍加されるはずです。

ミレーは珍しいダブル・レインボーを自宅の裏の畑から見て、亡くなったテオドール・ルソーの魂に重ね合わせたのではないでしょうか。だから奥の木立のそばにそっと人物（＝ルソー）を描き込んだ。

画家が同じ構図のパステル画と油絵を制作するという場合、パステル画が先行すると考えるのが普通でしょう。パステル画を制作し、それをもとに油絵バージョンを描く。ミレーの『虹』と『春』の２作の場合もそうだったのではと想像します。

そして油絵にするとき、画家は２つのアイテムを追加した。一つは白い３羽の鳥で、これは天国に召されたルソーの魂です。そしてもう一つは、手前から人物のそばの木立へと続く小道です。この道はミレーとルソーの "絆" を象徴しているのではと思います。と同時に、ダブル・レインボーを画題の中心ではなく、構図の中に盛り込まれた１つの要素の位置づけにした。

---

オルセー美術館の公式サイトによると、この『春』は、テオドール・ルソーのパトロンだったフレデリック・アルトマンという人の依頼で制作された「四季、４部作」の一枚です（完成は1873年）。そして、『夏』『秋』『冬（未完）』の３作は "ミレーらしい" 農民の農作業が画題ですが、『春』だけは違っていて（一見すると）風景画です。しかしその「一見すると風景画」に秘密がある。

"春" は自然と生命が息を吹き返す時期であり、四季の始まりです。亡くなったテオドール・ルソーの思い出として描くには、"春" がピッタリだったのだと思います。

---

補記：セレンゲティの虹

本文の冒頭に引用した朝日新聞のダブル・レインボーの写真は2021年4月8日のものでしたが、それから１ヶ月もたたない2021年5月2日の日本経済新聞（NIKKEI The STYLE）に虹の写真が掲載されました。「虹が立つ草原を行く」と題されたもので、タンザニアのセレンゲティ国立公園で撮影されたものです。草原を行く「ヌーの群れ」と「虹」のツーショット写真です。

「虹がたつ草原を行く　タンザニア」

（日本経済新聞 2021.5.2）

この写真をよく見ると、実はうっすらと副虹が写っているのですね。ほんの微かすかですが ･･････。つまり、ダブル・レインボーの写真ということになります。日経の読者の方も、気がつかなかった人が多いのではないでしょうか。

この写真でよく分かるのは「ダブル・レインボーは程度問題」ということです。くっきりと見える場合もあれば（＝滅多にない）、全く見えないこともあり（＝ほとんどの場合）、その間には無限の段階がある。我々も虹を見たとき、実は外側にある、ほんの微かな副虹を見逃していることがあるのではないでしょうか。そう感じさせるセレンゲティ国立公園の写真でした。

---

---

タグ：主虹 ダブル・レインボー 副虹 二重虹 ジャン=フランソワ・ミレー テオドール・ルソー 安井裕雄 荒木健太郎 黒澤 明 オルセー美術館 グルベンキアン美術館 夢 日照り雨 セレンゲティ

No.311 - 高校数学で理解するRSA暗号の数理（２）

（前回より続く）

---

４. RSA暗号の証明

---

4.1	RSA暗号
RSA暗号の公開鍵・秘密鍵の作成方法と暗号化・複号化の計算式を定理として記述すると次の通りです。 $p$ と $q$ を相異なる素数とし、$n=pq$ とする。 $e$ を $m=\left(p-1\right)\left(q-1\right)$ と素な数、$d$ を、$de\equiv 1\left(modm\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。 （ $\mathbb{P}$：平文。$\mathbb{C}$：暗号文 ）

RSA暗号において、暗号化・複号化に必要なのは公開鍵の $\left(e,n\right)$ と 秘密鍵の $d$ であり、それらを生成するのに使った $p$ と $q$ は不要です。というより、$p$ と $q$ ないしは $\left(p-1\right)\left(q-1\right)$ が漏れると暗号が破られてしまうので、これらの数は鍵を生成した後は破棄（情報を安全に抹消）する必要があります。

以下に、上の「複号化の式」が成り立つことを証明します。まず合同式の累乗 1.2 を使って「暗号化の式」の両辺を $d$ 乗すると、

${\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modpq\right)\text{ ⋯ (1)}$

となります。ここで、$de\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$ なので、$de=k\left(p-1\right)\left(q-1\right)+1$ と表現できます。従って、

${\mathbb{P}}^{de}={\mathbb{P}}^{k\left(p-1\right)\left(q-1\right)+1}$

となります。累乗を分解すると、

${\mathbb{P}}^{de}={\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\text{ ⋯ (2)}$

です。一方、フェルマの小定理 3.1 により、

${\mathbb{P}}^{p-1}\equiv 1\left(modp\right)$

となります。合同式の累乗の定理 1.2 により、この式の両辺を $q-1$ 乗すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modp\right)\text{ ⋯ (3)}$

が得られます。さらに、フェルマの小定理 3.1 により、

${\mathbb{P}}^{q-1}\equiv 1\left(modq\right)$

ですが、両辺を $p-1$ 乗して、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modq\right)\text{ ⋯ (4)}$

となります。ここで、$p$ と $q$ は互いに素なので、1.5 の合同式の定理を $\text{(3), (4)}$に適用すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modpq\right)$

を導くことができます。この式の両辺を 1.2 を使って $k$ 乗すると、

${\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k\equiv 1\left(modpq\right)$

であり、さらに両辺に合同式の乗算 1.1c を使って $\mathbb{P}$ をかけると、

$$\begin{gathered} {\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\equiv \mathbb{P}\left(modpq\right) \\ \text{ ⋯ (5)} \end{gathered}$$

となります。従って、$\text{(1), (2), (5)}$ を合わせると、

${\mathbb{C}}^d\equiv \mathbb{P}\left(modpq\right)$

となり、RSA暗号の複号化の式が証明できました。

最小公倍数

以上の証明の過程を改めて振り返ってみると、「$m$ が $\left(p-1\right)$ の倍数であり、かつ $\left(q-1\right)$ の倍数」であれば、RSA暗号は成立することが分かります。つまり「$m$ が $\left(p-1\right)$ と $\left(q-1\right)$ の公倍数」であれば成立する。そのような $m$ は、

$$\begin{gathered} m=n_p\left(p-1\right) \\ m=n_q\left(q-1\right) \end{gathered}$$

の２通りに表現できます。すると、$de\equiv 1\left(modm\right)$ なので、

$$\begin{gathered} de=k_p\left(p-1\right)+1 \\ de=k_q\left(q-1\right)+1 \end{gathered}$$

と２通りに表せます。ここから、

$$\begin{gathered} {\mathbb{P}}^{de}={\mathbb{P}}^{k_p\left(p-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{p-1}\right)}^{k_p} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modp\right) \\ {\mathbb{P}}^{de}={\mathbb{P}}^{k_q\left(q-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{q-1}\right)}^{k_q} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modq\right) \\ {\mathbb{P}}^{de}\equiv \mathbb{P}\left(modpq\right) \\ {\mathbb{C}}^{d\phantom{e}}\equiv \mathbb{P}\left(modpq\right) \end{gathered}$$

となって、平文が復元できます。この考察から分かるのは、$m$ の最小値は「$\left(p-1\right)$ と $\left(q-1\right)$ の最小公倍数」ということです。最小公倍数を $LCM$ で表すと、

$m=LCM\left(p-1,q-1\right)$

であればRSA暗号は成立します。そして一般に、

$LCM\left(a,b\right)={\displaystyle \frac{a\times b}{gcd\left(a,b\right)}}$

です。最大公約数・$\gcd$ は「２. ユークリッドの互除法」を使って高速に計算できるので $p$ や $q$ が巨大数であっても最小公倍数・$LCM$ は計算可能です。

累乗の剰余を求めるアルゴリズム

RSA暗号では、暗号化と複号化で "累乗（冪乗）の剰余"（冪剰余と呼ぶ）を求める計算が出てきます。この計算で使う公開鍵 $\left(e,n\right)$ も秘密鍵 $d$ も、また平文や暗号文も、実用的には10進数で300桁とか、そういった巨大な数です。

しかし巨大な数であっても、累乗の剰余計算ができるアルゴリズムがあります。その一つとして、ここでは「２分割法」で説明します。前回の「RSA暗号の例題」であげた、

$\mathbb{C}={82}^{133}mod\mathrm{143}=4$

の例で説明します。考え方としては「２.ユークリッドの互除法」と同じで、問題をより "小さな問題" に置き換えるというものです。つまり、133乗を求める代わりに

$C_1={82}^{66}mod143$

が求まったとしたら、$\mathbb{C}$ は、

$\mathbb{C}=\left(C_1·C_1·82\right)mod143$

で計算できます。さらに、その $C_1$ は、

$C_2={82}^{33}mod143$

が求まったとしたら、

$C_1=\left(C_2·C_2\right)mod143$

で計算できます。この２分割を次々と続けていくと、82の16乗、8乗、4乗、2乗、1乗を 143 で割った剰余が求まれば良いことになります。これを逆にたどって電卓で順次計算してみると、

$\begin{array}{lr}& \mathrm{mod}143\\ {82}^1& 82\\ {82}^2& 3\\ {82}^4& 9\\ {82}^8& 81\\ {82}^{16}& 126\\ {82}^{33}& 103\\ {82}^{66}& 27\\ {82}^{133}& 4\end{array}$

となり、答の 4 が求まりました。これをプログラム言語で記述すると次の通りです。

4.2	２分割法による冪剰余計算
$P^{e}mod\mathrm{n}$ を求める関数 RSA（Javascriptで記述）。 function RSA( P, e, n ) { 　if( e == 1 ) return P % n; //① 　else { 　 var h=RSA(P, Math.floor(e/2), n); //② 　 var c=( h * h ) % n; //③ 　 if( e % 2 == 0 ) return c; //④ 　 else return ( c * P ) % n; //⑤ 　} }

次はこのアルゴリズムの補足説明です。

①	e が 1 なら P % n が答なので、それを関数値として返す。% は Javascript の剰余演算子で、P mod n と同じ意味。
②	e が 1 でないときは、e を半分（約半分）にして答を求める。Math.floor() は小数点以下を切り捨てる Javascript の組み込み関数。Javascript では実数と整数の区別がないので必要。
③	その "半分の答" を２乗し、剰余を求めて仮の答 c とする。
④	e が偶数なら c が正しい答。それを関数値として返す。
⑤	e が奇数なら c にさらに P を掛け、剰余を求めて関数値として返す。

$e$, $n$, $d$ が10進数で300桁程度の巨大数とします。${$ 2$}^{1000}$ は約300桁の数なので、"２分割法" を使うと1000回程度の剰余計算を繰り返すこと答が求まります。この程度の計算は現在のコンピュータで可能です。ただし可能といっても 1000回の繰り返しはさすがに大変なので、実用的にはこれを高速化する手法がいろいろと開発されています。

「２. ユークリッドの互除法」で、公開鍵 $\left(e,n\right)$ の $e$ と秘密鍵 $d$ について、たとえ巨大数であっても高速に算出できることを書きました。それに加えて、暗号化・複号化で使われる「巨大数の累乗の剰余計算」も算出可能であり、RSA暗号の全体が "計算可能" であることが証明できました。

---

今までのまとめ

---

実用的な RSA暗号を構成するときに必要なのは、巨大な素数 $p$, $q$ （10進数で150桁程度かそれ以上）です。こういった素数をどうやって作り出すか、また素数であることの判定をどうやってするかの計算手法については割愛します。

今までのRSA暗号についての説明全体をまとめると、以下の２点になるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている（合同、ユークリッドの互除法、フェルマの小定理、･････）。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式は、実用的に計算可能である。

RSA暗号は現代の情報化社会にとって必須のものであり、社会インフラの重要な構成要素です。それは、数学が実用的に、かつ直接的に社会に役立っている例なのでした。

RSA暗号とオイラー関数・オイラーの定理

RSA暗号の成立性の証明はこれまでで尽きていますが、以降はRSA暗号と関係が深い「オイラー関数」を説明し、次に「オイラーの定理」を導いて、そこからRSA暗号の原理を導出します。まずその前提としての「中国剰余定理」です。

---

５. 中国剰余定理

---

5～6世紀頃の中国で成立した算術書『孫子算経』に、

3で割ると2余り
5で割ると3余り
7で割ると2余る数は何か

という問題が書かれています。答は23ですが、これを一般化した定理を「中国剰余定理」と呼んでいます。

5.1	中国剰余定理
与えられた $k$ 個の整数、$m_1\text{,}{m}_2\text{,}\dots \text{,}{m}_k$ は、どの２つをとっても互いに素とする。このとき任意に与えられた $k$ 個の整数、$a_1\text{,}{a}_2\text{,}\dots \text{,}{a}_k$ についての $k$ 個の式、 $$\begin{gathered} x\equiv a_1\left(mod{m}_1\right) \\ x\equiv a_2\left(mod{m}_2\right) \\ \text{ ⋮} \\ x\equiv a_k\left(mod{m}_k\right) \end{gathered}$$ を同時に満たす解 $x$ が存在し、この解は $M=m_1{m}_2\dots m_k$を法として唯一である。

$x_1$ と $x_2$ の２つの解があったとします。すると、$mod{m}_1$ の式から、

$$\begin{gathered} x_1\equiv a_1\left(mod{m}_1\right) \\ {x}_2\equiv a_1\left(mod{m}_1\right) \end{gathered}$$

となり、1.1b により、

$x_1-x_2\equiv 0\left(mod{m}_1\right)$

となります。同様に、$mod{m}_2$ の式から、

$x_1-x_2\equiv 0\left(mod{m}_2\right)$

が言えます。$m_1$ と $m_2$ は互いに素なので、ここで 1.5 を適用すると、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\right)$

となります。以上のことは $m_3$ から $m_k$ までの全ての式についても言えるので、1.5 を順次適用することにより、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\dots m_k\right)$

となります。つまり、

$x_1\equiv x_2\left(modM\right)$

です。従って、解 $x$ が複数あったとしても、それらは全て $M$ を法として合同になります(＝ 解は $M$ を法として唯一）。

---

ここで

$M_i={\displaystyle \frac{M}{m_i}}$

とおくと、$gcd\left(m_i,M_i\right)=1$ なので、2.3 により、

$M_i·N_i\equiv 1\left(mod{m}_i\right)$

となる $N_i$ が存在します。これを使って、

$x={\displaystyle \sum _{i=1}^k}{a}_i{M}_i{N}_i$

とおくと、それが解になります。なぜなら $M_i$ の作り方から $i$ 番目の項以外の項は $m_i$ で割り切れるので、$i$ 番目の項単独で「$m_i$ を法として $x$ と合同」になります。つまり、

$x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right)$

です。一方、合同の性質の 1.4 において $y=1$ とおくと 1.4 は、

$ax\equiv b\left(modm\right)$ かつ、
$\phantom{a}x\equiv 1\left(modm\right)$ のとき、
$a\phantom{x}\equiv b\left(modm\right)$

となります。1.4 の「$x$ が $m$ と互いに素」という条件は、$x\equiv 1\left(modm\right)$ で満たされています。このことを適用すると、

$$\begin{gathered} x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right) \\ {M}_i·N_i\equiv 1\left(mod{m}_i\right) \end{gathered}$$

という２つの条件から、

$x\equiv a_i\left(mod{m}_i\right)$

となります。これが全ての $i$ について成り立つ。従って $x$ が解であることが証明できました。また前段で証明したように全ての解は $M$ を法として合同なので、$x$ が唯一の解です。

---

中国剰余定理の意味を直感的に理解するために、$k=2$、$m_1=3$、$m_2=4$、$M=12$ とし、$x$ の全て解についての対応表を作ってみると次の通りになります。

$\begin{array}{ccc}x& \mathrm{mod}3& \mathrm{mod}4\\ 0& 0& 0\\ 1& 1& 1\\ 2& 2& 2\\ 3& 0& 3\\ 4& 1& 0\\ 5& 2& 1\\ 6& 0& 2\\ 7& 1& 3\\ 8& 2& 0\\ 9& 0& 1\\ 10& 1& 2\\ 11& 2& 3\end{array}$

この表をみると、$012$ を繰り返し並べ（$mod3$ の列）、$0123$ を繰り返し並べると（$mod4$の列）、$3$ と $4$ が互いに素の関係にあるために、$\left(0\text{, }0\right)$ は $3\times 4=\mathrm{12}$ 回繰り返さないと現れないことが分かります。その間、$x$ は12未満の全ての数をとり、$\left(mod3\text{, }mod4\right)$ の全ての組み合わせが現れる。このため、$\left(mod3\text{, }mod4\right)$ の１つの組み合わせに対して解 $x$ が唯一になるわけです。この状況は $k$ がどんな数であっても、$m_k$ がどの２つをとっても互いに素である限り変わらない。

「互いに素」なゆえに成立するこのイメージは、次のオイラー関数の証明に役立ちます。

---

６. オイラー関数

---

レオンハルト・オイラー （Wikipediaより）

オイラー（1707-1783）はスイスのバーゼルに生まれた18世紀ヨーロッパの大数学者です。その業績は多岐に渡り、オイラー ･･･（何とか）という定理や公式、関数、数式、等式、図などがどっさりとあります。

以下の「オイラー関数」は、一般に関数名をギリシャ文字の $\phi$（ファイ）で表記するので「オイラーの $\phi$関数」とも呼ばれています。数論ではたびたび出てくる関数です。

余談ですが、オイラーは20歳台後半で右目を失明しました。ここに掲載した肖像画にもそれが現れています。

6.1	オイラー関数
オイラー関数 $\phi$ の定義は以下のとおり。 $\phi \left(m\right)$　：　$m$ 以下で、$m$ とは互いに素な自然数の個数 $p$、$q$ を相異なる素数とするとき、オイラー関数は次の性質をもつ。 （素数のオイラー関数値） 　　6.1a　$\phi \left(p\right)=p-1$ （素数の積のオイラー関数値） 　　6.1b　$\phi \left(pq\right)=\left(p-1\right)\left(q-1\right)$ （素数の累乗のオイラー関数値） 　　6.1c　$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$ なお「互いに素」は、すなわち「最大公約数が $1$」であり、$gcd\left(1,1\right)=1$なので、$\phi \left(1\right)=1$。

まず 6.1a ですが、素数 $p$ は $p$ 未満のすべての自然数と互いに素です。従って、$\phi \left(p\right)=p-1$ です。

次に $pq$ 以下の数で、$p$ で割り切れるのは $pq$ を含んで $q$ 個、$q$ で割り切れるのは $pq$ を含んで $p$ 個です。$pq$ 以下の数の全体は $pq$ 個なので、$pq$ 以下の数で $p$ でも $q$ でも割り切れない数の個数（＝ $pq$ と互いに素な数の個数）は、

$$\begin{gathered} \phi \left(pq\right)=pq-p-q+1 \\ \phantom{\phi \left(pq\right)}=\left(p-1\right)\left(q-1\right) \end{gathered}$$

です（6.1b）。上の式の１行目で、$-p$ と $-q$ には $pq$ の分が重複しているので $+1$ してあります。

さらに、$p^{\alpha }$ 以下の数で、$p$ の倍数は全て $p^{\alpha }$ と共通の約数 $p$ を持ちます。$p^{\alpha }$ 以下の $p$ の倍数の個数は $p^{\alpha }$ を含んで、

${\displaystyle \frac{p^{\alpha }}{p}}=p^{\alpha -1}$

なので、$\phi \left(p^{\alpha }\right)$は、

$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$

となります（6.1c）。このオイラー関数に関しては、次の「乗法性」が重要です。

6.2	オイラー関数の乗法性
$gcd\left(m,n\right)=1$（ $m$ と $n$ は互いに素 ）のとき $\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

一般に、関数のこのような性質を "乗法性"、このような関数を "乗法的関数" と呼んでいます。証明は３段階で行います。キーワードは「中国剰余定理」と「１対１対応」です。

第１段

$0\le i<m$、$0\le j<n$ である数を選び $\left(i,j\right)$ のペアを作ります。$i$ の選択肢は $m$ 個、$j$ の選択肢は $n$ 個で、それぞれ独立して選ぶので、相異なる $\left(i,j\right)$ のペアの数は $mn$ 個です。

仮定により $m$ と $n$ は互いに素です。従って、それぞれの $\left(i,j\right)$ のペアについて中国剰余定理 5.1 により、

$$\begin{gathered} x\equiv i\left(modm\right) \\ x\equiv j\left(modn\right) \end{gathered}$$

を同時に満たす $x$ が、$mn$ を法として唯一存在します。つまり $0\le x<mn$ の範囲では $x$ が一意に決まります。これは $\left(i,j\right)$ のペアに $x$ を対応づけられることを意味します。

逆に、$0\le x<mn$ である $x$ を１つ選ぶと、それに対して $modm$ と $modn$ を求めて $\left(i,j\right)$ のペアと対応づけられる。つまり、

$mn$ 個の $\left(i,j\right)$ のペアと $mn$ 個の $x$ の間に１対１対応が作れる

ことになります。

第２段

第１段の方法で作った「１対１に対応する $\left(i,j\right)$ のペアと $x$」については、

$i$ が $m$ と素であるなら、$x$ も $m$ と素

になります。なぜなら、もし $x$ と $m$ に共通の約数 $a$ があったとすると（＝ $a|x$ でかつ $a|m$ ）、中国剰余定理の前提から

$x=km+i$

と表せるので $a|i$ となり、$a$ が $i$ と $m$ の共通の約数にもなってしまって「$i$ が $m$ と素」という仮定に反するからです。全く同様に、

$j$ が $n$ と素であるなら、$x$ も $n$ と素

です。この２つを合わせると、

$\left(i,j\right)$ のペアにおいて「$i$ が $m$ と素」で、かつ「$j$ が $n$ と素」であれば、「１対１対応がつけられた $x$ は $m$ と $n$ の２つの数と素」

になります。「$x$ が $m$ と $n$ の２つの数と素」であることは「$x$ が $mn$ と素」ということに他ほかなりません。つまり、

$\left(i,j\right)$ のペアで「$i$ が $m$ と素」であり、かつ「$j$ が $n$ と素」であれば「$\left(i,j\right)$ と１対１対応がつけられた $x$ は $mn$ と素」

です。その逆に「$x$ が $mn$ と素」であるなら「$x$ は $m$ と $n$ の２つの数と素」です。そうすると中国剰余定理の前提から「$i$ は $m$ と素」でかつ「$j$ は $n$ と素」になります。つまり、まとめると、

$\left(i,j\right)$ のペアのうち「$i$ が $m$ と素で、$j$ が $n$ と素であるペア」は、「$mn$ と素である $x$」と１対１の対応関係がつけられる

ことになります。そして１対１の対応関係がつく集合の要素の数は等しい。ここが証明の根幹です。

第３段

オイラー関数の定義により、

$m$ と素である $i$ の個数は $\phi \left(m\right)$
$n$ と素である $j$ の個数は $\phi \left(n\right)$

です。$i$ と $j$ は独立に選んでいるので、

$\left(i,j\right)$ のペアのうち、「$i$ が $m$ と素」で「$j$ が $n$ と素」のペアの個数は、$\phi \left(m\right)\phi \left(n\right)$

です。さらにオイラー関数の定義により、

$mn$ と素な $x$ の個数は $\phi \left(mn\right)$

になります。第２段で証明したように「$i$ が $m$ と素」で「$j$ が $n$ と素」である $\left(i,j\right)$ のペアと、$mn$ と素である $x$ は１対１の対応関係にあります。従ってその個数は等しく、

$\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

となって、証明が完成しました。オイラー関数の乗法性を直感的に理解するために、中国剰余定理のところであげた表を使って $\phi \left(12\right)=\phi \left(3\right)\phi \left(4\right)$ のイメージを示したのが次です。$\text{●}$ 印を付けたのはそれぞれ、$12\text{, }3\text{, }4$ とは素な数です。

$\begin{array}{rrr}\mathrm{mn}=12& m=3& n=4\\ \text{0 }& \text{0 }& \text{0 }\\ \text{●1 }& \text{●1 }& \text{●1 }\\ \text{2 }& \text{●2 }& \text{2 }\\ \text{3 }& \text{0 }& \text{●3 }\\ \text{4 }& \text{●1 }& \text{0 }\\ \text{●5 }& \text{●2 }& \text{●1 }\\ \text{6 }& \text{0 }& \text{2 }\\ \text{●7 }& \text{●1 }& \text{●3 }\\ \text{8 }& \text{●2 }& \text{0 }\\ \text{9 }& \text{0 }& \text{●1 }\\ \text{10 }& \text{●1 }& \text{2 }\\ \text{●11 }& \text{●2 }& \text{●3 }\end{array}$

---

このオイラー関数の乗法性（6.2）と素数の累乗のオイラー関数値（6.1c）を用いると、一般の自然数 $N$ のオイラー関数値を求めることができます。つまり素因数分解の一意性により、$p_i$ を素数として、

$N={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

と表現できます。ここでオイラー関数の乗法性（6.2）を繰り返して使うと、

$\phi \left(N\right)=\phi \left({p_1}^{{\alpha }_1}\right)\phi \left({p_2}^{{\alpha }_2}\right)\dots \phi \left({p_r}^{{\alpha }_r}\right)$

となります。また、素数の累乗のオイラー関数値（6.1c）によって、

$\phi \left({p_i}^{{\alpha }_i}\right)={p_i}^{{\alpha }_i}-{p_i}^{{\alpha }_i-1}$

です。以上を合わせると、任意の数 $N$ のオイラー関数値を求める公式は、

$\begin{array}{l}\phi \left(N\right)\\ =\left({p_1}^{{\alpha }_1}-{p_1}^{{\alpha }_1-1}\right)·\dots ·\left({p_r}^{{\alpha }_r}-{p_r}^{{\alpha }_r-1}\right)\\ {\displaystyle =\frac{{p_1}^{{\alpha }_1}}{p_1}\left(p_1-1\right)·\dots ·\frac{{p_r}^{{\alpha }_r}}{p_r}\left(p_r-1\right)}\\ ={\displaystyle \frac{N}{p_1{p}_2\dots p_r}}·\left(p_1-1\right)·\dots ·\left(p_r-1\right)\end{array}$

となります。つまり、$N$ の素因数分解ができれば $\phi \left(N\right)$ は簡単に求まります。逆に言うと$N$ の素因数分解が困難なら $\phi \left(N\right)$ を求めるのも困難になる。このことが RSA暗号が成立する背景となっています。

ちなみに、上のオイラー関数の公式の末尾の形（色を塗った部分）は、オイラーより以前に江戸時代の和算家・久留島くるしま義太よしひろ（? - 1758）が発見しています。久留島義太は、関孝和、建部たけべ賢弘かたひろとともに三大和算家と呼ばれた人ですが、自分では書物を残すことがなかったので、業績は知人や弟子がまとめたものにしかありません。その一人、仙台藩の天文学者・戸板保佑やすすけの『久氏遺稿』の中に公式の記述ができます（鳴海 風「小説になる江戸時代の数学者」- 日本数学会「市民講演会」2007.3.31 による）。

その書物には $\phi \left(360\right)$ を求める例示があります（これは暗算でも出来ます）。つまり $360=6·6·10$ なので素因数は $2\text{, }3\text{, }5$ だけです。従って $360$ を $2·3·5=30$ で割って（答は $12$）、$1·2·4=8$ を掛けると $\phi \left(360\right)=96$ が求まる。このことが書かれています。この公式には $p_i$ の累乗の部分（${\alpha }^i$）が全く現れません。ちょっと不思議な感じもする公式です。

日本の数学者の中には「久留島・オイラーの関数」と呼ぶ人もいます。"オイラー何とか" という名前の定理や公式はいろいろあるので、その方が分かりやすいかもしれません。

---

７. オイラーによるフェルマの小定理の一般化（オイラーの定理）

---

オイラー関数を使うと、オイラーが発見した「一般化されたフェルマの小定理」の証明ができます。

7.1	オイラーの定理
$a$ を $m$ とは素な数とするとき $a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

$a$ や $m$ に何らかの制約があるわけではなく、２つの数が「互いに素」という条件だけで成立する美しい定理です。これがフェルマの小定理の一般化であることは、$p$ を素数として $m=p$ とおけばフェルマの小定理そのものになることから分かります。

この証明を２段階に分けて行います。まず第１段階で $m$ が素数の累乗の時に成立することを証明し、第２段階でその結果を使って $m$ が一般の数の場合を証明します。

7.2
$p$ を素数とする。 $m=p^{\alpha }$ のとき、7.1 は成り立つ。

$\alpha$ についての数学的帰納法で証明します。まず $$ \alpha $=1$ のときはフェルマの小定理そのものなので成立します。次に $$ \alpha $=k-1\left(k\ge 2\right)$ のときに成立すると仮定します。つまり、

$a^{\phi \left(p^{k-1}\right)}\equiv 1\left(mod{p}^{k-1}\right)$

が成り立つとします。そうすると、ある数 $b$ が存在して、

$a^{\phi \left(p^{k-1}\right)}=1+b{p}^{k-1}$

と表現できます。この式の左辺に 6.1c（素数の累乗のオイラー関数値）を適用すると、

$a^{p^{k-1}-p^{k-2}}=1+b{p}^{k-1}$

となります。この両辺を $p$ 乗し、右辺は２項定理で展開すると、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& ={\left(1+b{p}^{k-1}\right)}^p\\ & =1+{}_{p}C_1{\left(b{p}^{k-1}\right)}^1\\ & \phantom{=1}+{}_{p}C_2{\left(b{p}^{k-1}\right)}^2+\dots \end{array}$

が得られます。この展開した右辺において、第２項は ${}_{p}C_1=p$ なので $b{p}^k$ となり、$p^k$ で割り切れます。また第３項以降は $2\le i\le p$ として ${}_{p}C_i{b}^i{p}^{\left(k-1\right)i}$ と表せますが、$k\text{, }i\ge 2$ のとき $\left(k-1\right)\left(i-1\right)\ge 1$ であり、この式を変形すると $\left(k-1\right)i\ge k$ となるので、第３項以降も $p^k$ で割り切れます。つまり、展開した第１項の $1$ 以外は $p^k$ で割り切れることになります。従って、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& \equiv 1\left(mod{p}^k\right)\\ a^{\phi \left(p^k\right)}& \equiv 1\left(mod{p}^k\right)\end{array}$

となります。この結果、7.2 は $$ \alpha $=k-1$ のときに成立するなら $$ \alpha $=k$ のときにも成立することが証明でき、数学的帰納法が完成しました。

---

7.2 を使って 7.1 を証明します。$p_i$ を相異なる素数とし、任意の数 $m$ を、

$m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

とおきます。すると 7.2 により、$1\le i\le r$ のそれぞれの $i$ において、

$a^{\phi \left(p^{{\alpha }_i}\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (1)}$

が成立します。ここで、

$n_i={\displaystyle \frac{m}{p^{{\alpha }_i}}}\left(m=n_i·p^{{\alpha }_i}\right)$

とおくと、オイラー関数の乗法性（6.2）により、

$\phi \left(m\right)=\phi \left(n_i\right)\phi \left(p^{{\alpha }_i}\right)$

となります。ここで、この式と合同式の累乗（1.2）を使って $\text{(1)}$ 式の両辺を $\phi \left(n_i\right)$ 乗すると、

$a^{\phi \left(m\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (2)}$

が得られました。$\text{(2)}$ 式は $1\le i\le r$ の $i$ においてそれぞれ成立します。$p_i$ は相異なる素数だったので、ここで 1.5 を順次適用すると、

$a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.1 が正しいことが証明されました。

---

7.1 の証明の過程を振り返ってみると、次の 7.3 が成り立つことが分かります。

7.3	オイラーの定理・その２
任意の数 $m$ の素因数分解を、相異なる素数 $p_i\left(1\le i\le r\right)$ を使って、 $m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$ と表す。$\psi \left(m\right)$ を $r$ 個の $\phi \left({p_i}^{{\alpha }_i}\right)$ の最小公倍数とする（$\psi$ はギリシャ文字のプサイ）。つまり、 $\psi \left(m\right)=LCM\left(\phi \left({p_1}^{{\alpha }_1}\right),\dots ,\phi \left({p_r}^{{\alpha }_r}\right)\right)$ とすると、$m$ と素である数 $a$ について、 $a^{\psi \left(m\right)}\equiv 1\left(modm\right)$ が成り立つ（$LCM=$ 最小公倍数）。

これは 7.1 の証明の後半（＝ 7.2 を使って証明する部分）からすぐに分かります。$\psi \left(m\right)$ の定義から、

$\psi \left(m\right)=k_i·\phi \left({p_i}^{{\alpha }_i}\right)\left(1\le i\le r\right)$

と書き表すことができます。一方 7.2 より、

$a^{\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が成り立ちます。この合同式の両辺を 1.2（合同式の累乗） に従って $k_i$ 乗すると、

$a^{k_i\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

となり、これから、

$a^{\psi \left(m\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が得られます。この式は $1\le i\le r$ であるすべての $i$ について成立し、また ${p_i}^{{\alpha }_i}$ は互いに素なので、1.5 を順次適用することで、

$a^{\psi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.3 が証明できました。この証明の過程から、$\psi \left(m\right)$ が最小公倍数でなくても、公倍数であれば成立することが分かります。なお $\psi \left(m\right)$ は一般的な表記ではなく、ここで便宜上使った記号です。

---

オイラーの定理（7.1）と、オイラーの定理・その２（7.3）を

として具体的に書いてみると次の通りです。

$\begin{array}{ll}\phi \left(m\right)& =\phi \left(3\right)·\phi \left(7\right)\\ & =2·6\\ & =12\\ 2^{12}& =4096\\ & =195·21+1\\ & \equiv 1\left(mod21\right)\\ \psi \left(m\right)& =LCM\left(\phi \left(3\right),\phi \left(7\right)\right)\\ & =LCM\left(2,6\right)\\ & =6\\ 2^6& =64\\ & =3·21+1\\ & \equiv 1\left(mod21\right)\end{array}$

オイラーの定理の別証明

いままでは「オイラー関数の乗法性」を導出して、それをもとにオイラーの定理（とその最小公倍数版）を証明しました。しかし単にオイラーの定理だけを証明したいのなら、以下のようにフェルマの小定理（3.1）のときと同じ論法で可能です。

---

$n$ 以下の自然数で $n$ と互いに素である $\phi \left(n\right)$ 個の数を、数列として、

$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$

と並べます。これらはすべて相異なる数です。次に $n$ とは素な数 $a$ を選び、数列の全部にかけ算をして新たな数列、

$a{b}_1\text{, }a{b}_2\text{, }a{b}_3\text{,}\dots a{b}_{\phi \left(n\right)}$

を作ります。そして、それぞれの数を $n$ で割った剰余を $r_i$ とします。つまり、

$\begin{array}{lll}a{b}_1& \equiv r_1& \left(modn\right)\\ a{b}_2& \equiv r_2& \left(modn\right)\\ a{b}_2& \equiv r_3& \left(modn\right)\\ \text{⋮}& & \\ a{b}_{\phi \left(n\right)}& \equiv r_{\phi \left(n\right)}& \left(modn\right)\end{array}$

です。$a$ も $b_i$ も $n$ と素なので $r_i$ が $0$ になることはなく、$1\le r_i<n$ です。そして、このようにすると$r_i$ は全て $n$ と素になります。なぜなら、剰余の式を、

$a{b}_i=k_{i}n+r_i$

とするとき、$r_i$ と $n$ に共通の約数があるなら、その約数は $a{b}_i$ の約数にもなり「$a$ も $b_i$ も $n$ と互いに素」という、そもそもの仮定に反するからです。

さらに、$1\le i\text{, }j\le \phi \left(n\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $r_i\ne r_j$

になります。なぜなら、もし $r_i=r_j$ とすると、1.1b（合同式の減算）より、

$a\left(b_i-b_j\right)\equiv 0\left(modn\right)$

です。仮定より $a$ は $n$ と互いに素なので 1.3 により（1.3 で $b=0$ の場合）、

$\left(b_i-b_j\right)\equiv 0\left(modn\right)$

となりますが、$1\le b_i\text{, }{b}_j\le n$ なので、

$b_i=b_j$

となり、$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$ が相異なる数という仮定に反してしまうからです。つまり$i\ne j$ であれば、必ず $r_i\ne r_j$ です。

ということは、$\phi \left(n\right)$ 個の数、$r_i$ は「すべてが $n$ とは素である、相異なる数」であり、つまり $\phi \left(n\right)$ 個の数、$b_i$を並び替えたものです。従って、

$r_i$ を全部かけ算したものを $R$
$b_i$ を全部かけ算したものを $B$

と書くとすると、

$$\begin{gathered} R=B \\ \left(r_1{r}_2\dots r_{\phi \left(n\right)}=b_1{b}_2\dots b_{\phi \left(n\right)}\right) \end{gathered}$$

となります。そこで、1.1c（合同式の乗算）を上の $\phi \left(n\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせると、

$a^{\phi \left(n\right)}·B\equiv R\left(modn\right)$ 　つまり、
$a^{\phi \left(n\right)}·B\equiv B\left(modn\right)$

が得られます。ここで、そもそもの定義から $B$ は $n$ と素なので 1.3 を使うと、

$a^{\phi \left(n\right)}\equiv 1\left(modn\right)$

となって証明が完成しました。

---

８. RSA暗号の一般形

---

オイラー関数とオイラーの定理（オイラーによるフェルマの小定理の一般化）を用いると、RSA暗号（4.1）の一般形を次のように記述できます。

8.1	RSA暗号の一般形
$n$ を任意の自然数とし、$e$を $\phi \left(n\right)$ と素な数、$d$ を $de\equiv 1\left(mod\phi \left(n\right)\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。

一般形にしてしまうと、複号化の式の証明はいたってシンプルになります。$de=k\phi \left(n\right)+1$とおくと、

$$\begin{gathered} {\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modn\right) \\ \phantom{{\mathbb{C}}^d}={\mathbb{P}}^{k\phi \left(n\right)+1} \\ \phantom{{\mathbb{C}}^d}=\mathbb{P}·{\left({\mathbb{P}}^{\phi \left(n\right)}\right)}^k \\ \phantom{{\mathbb{C}}^d}\equiv \mathbb{P}\left(modn\right) \end{gathered}$$

となり証明できました。最後の式の変形のところで 7.1 と 1.2（合同式の累乗）を使っています。また 7.3 で証明したように、$\phi \left(n\right)$ の代わりに $\psi \left(n\right)$ （＝ $n$ の素因数それぞれのオイラー関数値の最小公倍数）としても、RSA暗号の一般形は成立します。

実際のRSA暗号は $p$ と $q$ を素数として $n=pq$ とおいたものですが（6.1b）、数学的には $n$ の素因数分解が分かると（素因数の累乗があってもよい） $\phi \left(n\right)$ はすぐに計算できるので（6. オイラー関数）暗号が構成できることになります。それが 8.1 の一般形の意味です。

しかし実用的な暗号のためには、素因数分解が困難であり（＝ $n$ の素因数ができるだけ大きな数であり）、また暗号化・複号化の高速計算のためには $n$ が小さいほど良いので、RSA暗号がその最適解なのでした。

---

全体のまとめ

---

最後に、RSA暗号についての説明全体をまとめると、以下のようになるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている。その基礎には、ユークリッド、孫子算経、フェルマ、オイラーなどによる数学史の重要な発見が詰まっている。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式には巨大数の演算が現れるが、それは実用的に計算可能である。
◆	RSA暗号の原理は、整数の "加減乗除" と "累乗（冪乗）" の知識をベースとして、そこから論理を積み重ねることで理解可能である。つまり「高校数学程度の知識で理解」できる。

この最後の点が、ここに「RSA暗号の数理」を掲載した目的でした。

---

---

タグ：フェルマの小定理 整数論 数論 RSA暗号 公開鍵暗号 公開鍵 秘密鍵 平文 暗号文 オイラー オイラー関数 オイラーの定理 中国剰余定理 孫子算経 久留島義太 久留島・オイラーの公式 数学的帰納法 乗法性 乗法的関数 ２項定理 互いに素 アルゴリズム JavaScript

No.310 - 高校数学で理解するRSA暗号の数理（１）

No.235「三角関数を学ぶ理由」では、私たちが学校で勉強を学ぶ目的の一つが「論理的に考える力を養う」こととし、その典型例として数学をとりあげました。数学は「論理のみで成り立っている」からです。そのことを改めて示すために $\sin \theta$ の微分が $\cos \theta$ になることを、三角関数のそもそもの定義に立ち返って証明しました。

今回はその継続・発展で、別の数学の問題を取り上げます。現代社会で広く使われている公開鍵暗号（その中の RSA暗号）です。これを取り上げる理由は、

◆	2000年にわたる数学（数論 ＝ 整数論）の基礎の上に作られた暗号である。
◆	インターネットの重要技術の一つであり、現代社会のインフラとなっている。
◆	高校生程度の前提知識があれば、論理的思考を積み重ねることで十分に理解できる（＝ タイトルの「高校数学で理解する」の意味）。

の３点です。以下の文章は元々別の目的のために作ったものですが、ここに掲載することにします。

---

公開鍵暗号

---

公開鍵暗号とは、

◆	暗号化の手順と、そこで使用する暗号化のための "鍵" が公開されている（その鍵が "公開鍵"）。
◆	暗号文を解読するための手順も公開されているが、それに使う "鍵" は秘匿されている（その鍵が "秘密鍵"）。

というタイプの暗号です。公開鍵暗号のメリットは多々ありますが、一番のメリットは「鍵を配送するコストがかからない」ことです。全ての鍵を秘匿する暗号だと、その鍵をどうやって配送して暗号化をしたい人に届けるかが大きな問題となります。暗号化通信で配送するというのは解決になりません。その暗号化通信の暗号鍵をどうやって配送するかという問題が残るからです。

公開鍵暗号では暗号化のための鍵がオープンなので、配送のコストはゼロです。暗号文を受け取りたい人が公開鍵と秘密鍵を生成し、公開鍵をオープンにすると誰でもその人に暗号文を送ることができます。

公開鍵暗号の設計の最大のポイントは、あたりまえですが、公開鍵から秘密鍵を推定したり導出したりできないことです。まさにそこに数学が使われていて、暗号文を解読できないようになっています。この「暗号化の鍵を公開してしまう」という革新的なアイデアというか、まさに "究極の逆転の発想" を論文として発表したのは、当時スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。

ディフィーとヘルマンは公開鍵暗号の発明の功績で、コンピュータ・サイエンス分野のノーベル賞といわれるチューリング賞を 2015年に受賞した。

（https://awards.acm.org/ より）

そのディフィーとヘルマンのアイデアに基づいた最初の暗号が RSA暗号で、現代でも盛んに使われています。これは 1978年に MIT のリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人のよって発明され、３人の頭文字をとってRSAと呼ばれています。

実はこの RSA暗号は、実用として何に使ったらいいのか、発表当時は使い道が分からなかったといいます。それが現代ではインターネットによる通信の重要技術として広く使われている。これにはコンピュータの処理速度の飛躍的向上も貢献しています。革新的な技術は、その応用環境が整った時点で、後から実用化される。よくあることです。

RSA暗号を発明した３人は、チューリング賞を 2002年に受賞している。

（https://awards.acm.org/ より）

以下、このRSA暗号の数理を順に見ていきます。

---

RSA暗号の例題

---

まずRSA暗号はどういうものか、それを極めて簡単な例題で説明します。

平文ひらぶん（＝暗号化する文）を $\mathbb{P}$ で、またそれを暗号化した暗号文を $\mathbb{C}$ で表します。例題として平文は１文字だけの英字で、それを整数に変換したものとします。RSA暗号にちなんで大文字の R が平文です。コンピュータで使われる ASCII（アスキー）コードでは、英大文字・英小文字・数字・特殊記号を $1$～$128$ の数で表すので、それを使って数字化すると R は $82$ です。つまり、

$\mathbb{P}=82$

が例題の平文です。

公開鍵は２つの数字のペア $\left(e,n\right)$、秘密鍵は一つの数字 $d$ で、例題としては、

公開鍵 ： $\left(e=133,n=143\right)$
秘密鍵 ： $d=37$

とします。この公開鍵と秘密鍵の作り方は後で述べます。平文から暗号文への変換（＝暗号化）と、暗号文から平文への変換（＝復号化）を次の計算で行います。以降の記述では、$\mathit{a}$ を $\mathit{b}$ で割った余り（＝剰余）を $\mathit{a}\mathit{mod}\mathit{b}$ と書きます（プログラム言語やEXCELで $\mathrm{mod}\left(a,b\right)$ と書くのと同じ意味です）。

暗号化 ： $\mathbb{C}={\mathbb{P}}^{e}modn$
復号化 ： $\mathbb{P}={\mathbb{C}}^{d}modn$

例題の平文を暗号化の式に入れると、

$\mathbb{C}={82}^{133}mod143=4$

となり、平文 "$82$" に対する暗号文は "$4$" です。${82}^{133}$ は巨大な数ですが、剰余を求めるときにこの巨大数を計算する必要は全くありません。上の程度の計算なら電卓でも簡単にできます。そのやり方は後ほど示します（「4. RSA暗号の証明」）。暗号文の復号化は、暗号文 "$4$" を復号化の式に入れると、

$\mathbb{P}=4^{37}mod143=82$

となり、元の平文である "$82$" が復元できました。なお、この例では平文をわずか１文字（$2^7$ 以下の数字）としましたが、実際に使われる暗号では $2^{1024}$ 程度（10進で約300桁程度）の数字です（＝ 平文を数字化したもの。平文が長い場合は複数に分割）。また、公開鍵 $\left(e,n\right)$ と秘密鍵 $d$ も同程度の大きさの数字です。

この計算で暗号化と復号化が可能なのは、公開鍵と秘密鍵の作り方に工夫があるからです。まず $n$ は２つの素数 $p=11$ と $q=13$ の積です。

また $e$ は、$e$ と $\left(p-1\right)\left(q-1\right)=120$ との最大公約数が $1$ であるように決めてあります。$e=133=7·19$ なので、$133$ と $120$ との共通の約数は $1$ だけです。さらに秘密鍵である $d$ は、

$d·emod\left(p-1\right)\left(q-1\right)=1$

となるように決めてあります。$37·133=4921=41·120+1$ なので成り立っています。このように鍵を仕込んでおくと暗号化と復号化が可能になる。そのことを証明するのが、本記事の目的です。その証明を、前提とする数学知識を最小限にしてやってみたいと思います。

---

公開鍵暗号は「公開鍵から秘密鍵が導出できない」ことが必須です。RSA暗号では、$n=p·q$ と素因数分解ができれば、

$d·emod\left(p-1\right)\left(q-1\right)=1$

の式を解いて $d$ が求まります。しかし実用で使われるRSA暗号は最低でも $n$ の桁数が10進数で300桁程度です（２進数で 1024ビット程度。平文も同等の長さ）。この程度の大きさの整数の素因数分解は、超高速コンピュータをもってしても困難です。もしコンピュータの速度がさらに向上するなら、鍵の桁数をさらに大きくすればよい。この素因数分解の困難性が、RSA暗号が成り立つ理由です。

---

以降でRSA暗号の暗号化と復号化の式が成り立つことの証明を行います。さらに、単に成り立つことだけでなく、RSA暗号に関わる各種の式が計算可能であることの説明をします。"式が正しい" ことと、その "式が実用的に計算可能である" ことは違うからです。素因数分解がまさにその例です。

まず、整数の性質についての用語の定義からです。用語は RSA暗号の式の証明に必要なものだけに絞ります。以降に現れる "数" やそれを表す記号は、ほとんど場合は整数のことですが、自然数（1以上の整数）を意味する場合もあります。どちらかは文脈から明らかなので、いちいち断りなく使います。

---

準備：用語の定義

---

割り切る・約数・因数・最大公約数

整数 $N$ を $a$ で割ったときの余りがゼロのとき、$\mathit{N}$ は $\mathit{a}$ で割り切れると言い、また、$\mathit{a}$ は $\mathit{N}$ を割り切ると言います。このことを記号を使って、

$a|N$

と書きます。またこのときの $a$ を $N$ の約数と呼びます。$N|N$ と $1|N$ は常に成り立つので、$1$ と $N$ は $N$ の約数です。

$N$ が 2つ以上の数の積で表されるとき、そのおのおのの数を $N$ の因数と呼びます。因数は約数と同じものですが、見方の違いと言えるでしょう。

２つの数、$N$ と $M$ があったとき、共通の約数を公約数と言います。また、公約数のうち最大のものを最大公約数と呼び、$\gcd \left(N,M\right)$ で表します。

素数と素因数分解

2以上の整数 $N$ の約数が 1 と $N$ のみのとき、$N$ を素数と言い、そうでない数を合成数と言います。合成数は 1 と $N$ 以外の約数を持ちます。約数（＝因数）が素数のとき、それを素因数と呼びます。$N$ が素数の場合は $N$ が素因数です。

合成数は素因数の積で表現できます（＝素因数分解）。なぜなら、定義によって合成数 $N$ は、$1$ でも $N$ でもない数 $a$ と $b$ を使って $N=a·b$ と表現（＝分解）できますが、$a$ や $b$ が合成数なら、さらに分解を繰り返すことによって最終的には素数の積にたどり着くからです。なお便宜上、素数はそれ自身が素因数分解であるとします。

「素数」と「大きな数の素因数分解の困難性」が RSA暗号の基礎になっているのは、例題で説明した通りです。

素因数分解の一意性

素因数分解は、かけ算の順序を無視して一意に決まります（＝素因数分解の一意性）。これは自明のように思えますが、証明をすると次の通りです。

いま（かけ算の順序は無視して）異なった２種類の素数列の積で表現できる合成数がある（＝素因数分解が一意ではない）と仮定します。すると、そのような最小の数、$N$ があるはずです。このとき $N$ は、$p_i$ と $q_i$ を素数として、

$N=p_1{p}_2{p}_3\dots p_r=q_1{q}_2{q}_3\dots q_s$

と表現できます。ここで $p_1$ に着目すると $p_1|N$ なので、$p_1|q_i$ となる $q_i$ があるはずです。かけ算の順序は無視するので、$p_1|q_1$ として一般性を失いません。ところが $q_1$ は素数なので、$q_1=p_1$ しかあり得ない。そこで式の全体を $p_1$ で割ると、

$\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.=p_2{p}_3\dots p_r=q_2{q}_3\dots q_s$

となります。これは $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ が２つの異なった形に素因数分解できることを示しています。ところが $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ は $N$ より小さい数なので「$N$ が２つの異なった形に素因数分解できる最小の数」ということに矛盾します。従って「２つの異なった形で素因数分解できる数がある」という仮定が誤りであり、素因数分解の一意性が示されました。

互いに素

整数 $N$ と 整数 $M$ の最大公約数が $1$ のとき、つまり $\gcd \left(N,M\right)=1$ のとき、「$N$ と $M$ は互いに素である」と言います。これは $N$ と $M$ が共通の素因数を持たないことと同じです。なお、$\gcd \left(N,1\right)=1$ は常に成り立つので、$1$ は他の数と互いに素です。

以降の、RSA暗号の証明に至るプロセスでは「互いに素」に関連した数々の定理や証明が出てきます。RSA暗号は「素数」と「互いに素」の上に構築された暗号です。

---

用語の定義はここまでです。以降はRSA暗号の成立性の証明に入ります。まず、数の "合同" の概念からです。

---

１. 合同

---

合同の概念はRSA暗号の根幹の一つです。$m$ を 2 以上の整数とするとき、２つの整数 $a$, $b$ について

・	$a$ を $m$ で割ったときの余りと、$b$ を $m$ で割ったときの余りが等しいとき、 あるいは同じことで、
・	$\left(a-b\right)$ が $m$ で割り切れるとき、つまり $m|\left(a-b\right)$ のとき、

$\mathit{a}$ と $\mathit{b}$ は $\mathit{m}$ を法として合同であると言い、

$a\equiv b\left(modm\right)$

と書きます。少々ややこしいですが、はじめに書いたように $amodb$ とすると「$a$ を $b$ で割った余り」の意味です。以下に、合同の性質でRSA暗号の証明に必要なものをあげます。

1.1
$a\equiv b\left(modm\right)$　かつ、 $c\equiv d\left(modm\right)$　のとき、 1.1a　$a+c\equiv b+d\left(modm\right)$ 1.1b　$a-c\equiv b-d\left(modm\right)$ 1.1c　$ac\equiv bd\left(modm\right)$

これらの性質は、それぞれの数を、

$$\begin{gathered} a=k_a·m+r_1 \\ b=k_b·m+r_1 \\ c=k_c·m+r_2 \\ d=k_d·m+r_2 \end{gathered}$$

というように書いて計算をすればすぐにわかります。たとえば 1.1c（合同式の乗算）を証明するには、$a$ と $c$ の式をかけ算し、$b$ と $d$ の式をかけ算して、

$$\begin{gathered} m\left|\left(ac-r_1{r}_2\right) \\ m\right|\left(bd-r_1{r}_2\right) \end{gathered}$$

が得られますが、２つの数が共に $m$ で割り切れると、その差も $m$ で割り切れます。従って、

$$\begin{gathered} m\left|\left(\left(ac-r_1{r}_2\right)-\left(bd-r_1{r}_2\right)\right) \\ m\right|\left(ac-bd\right) \\ ac\equiv bd\left(modm\right) \end{gathered}$$

となります。

1.2	合同式の累乗（冪乗）
$a\equiv b\left(modm\right)$ なら、2以上の $r$ について、 $a^r\equiv b^r\left(modm\right)$ である。

これは 1.1c で、$c=a$、$d=b$ とおいて 1.1c を "繰り返して使う" ことでわかります。"繰り返して使う" ことを証明として書くなら数学的帰納法になるでしょう。以降は「互いに素」に関連した合同の性質です。

1.3	互いに素（１）
$ax\equiv bx\left(modm\right)$ かつ、 $x$ と $m$ が互いに素なら、 $a\equiv b\left(modm\right)$

合同の定義により

$$\begin{gathered} m\left|\left(ax-bx\right) \\ m\right|x\left(a-b\right) \end{gathered}$$

となります。ここで一般的に次の 1.3a が成り立つことに注意します。

1.3a
$m$ は $x$ と互いに素とする。 $m|xn$ ならば $m|n$

$m$ と $x$ は互いに素なので、$m$ と $x$ に共通の素因数はありません。従って、$m$ を素因数分解したときに現れる素因数は、すべて $n$ の素因数のはずです。でないと、$m|xn$ とはならないからです。従って $m|n$ となります。このことを $m|x\left(a-b\right)$ に適用すると、

$$\begin{gathered} m|\left(a-b\right) \\ a\equiv b\left(modm\right) \end{gathered}$$

となり、1.3 が証明されました。1.3 は以降の証明にたびたび出てくる重要な定理です。1.3 を一般化したのが次の 1.4 です。

1.4	互いに素（２）
$ax\equiv by\left(modm\right)$ かつ、 $\phantom{a}x\equiv \phantom{b}y\left(modm\right)$ かつ、 $x$ と $y$ は $m$ と互いに素なら、 $a\equiv b\left(modm\right)$

$a$, $b$, $x$, $y$ を、$m$ と 剰余 $r$ を使って次のように表します。

$$\begin{gathered} \begin{array}{ll}a& =k_a·m+r_a\\ b& =k_b·m+r_b\\ x& =k_x·m+r\\ y& =k_y·m+r\end{array} \\ \left(0\le r_a,r_b,r<m\right) \end{gathered}$$

このようにおくと、$ax\equiv by\left(modm\right)$ より、

$r·r_a\equiv r·r_b\left(modm\right)$

となります。一方、$r$ と $m$ は互いに素です。なぜなら、もし $r$ と $m$ が $1$ ではない共通の約数 $c$ をもつとすると、上の $x$ の式から $c$ は $x$ の約数にもなり、$x$ と $m$ が互いに素ではなくなるからです。また、$y$ の式から $c$ は $y$ の約数でもあり、$y$ と $m$ が互いに素という前提にも反します。このように $r$ と $m$ は互いに素なので 1.3 を使って、

$r_a\equiv r_b\left(modm\right)$

となりますが、$0\le r_a,r_b <m$ なので、$r_a=r_b$ となり、

$a\equiv b\left(modm\right)$

が示されました。

1.5	互いに素（３）
$m$ と $n$ は互いに素とする。 $a\equiv b\left(modm\right)$ かつ、 $a\equiv b\left(modn\right)$ なら、 $a\equiv b\left(modmn\right)$

$a\equiv b\left(modm\right)$ なので、合同の定義から $m|\left(a-b\right)$ です。また、$a\equiv b\left(modn\right)$ なので、合同の定義から $n|\left(a-b\right)$ であり、$a-b=k_{1}n$ と表せます。この式の $a-b$ を $m|\left(a-b\right)$ に代入すると、

$m|k_{1}n$

となります。$m$ と $n$ は互いに素なので 1.3a を使うと、

$m|k_1$

となり、従って $k_1=k_{2}m$ と表せることになります。この $k_1$ を $a-b=k_{1}n$ に代入すると、

$$\begin{gathered} a-b=k_{2}mn \\ mn|\left(a-b\right) \\ a\equiv b\left(modmn\right) \end{gathered}$$

となって 1.5 が証明できました。

---

合同には数々の性質や定理がありますが、RSA暗号の証明に必要なものは以上です。次に、２つの数の最大公約数を求める「ユークリッドの互除法」です。これは最大公約数を求める計算方法というだけでなく、RSA暗号において公開鍵と秘密鍵を生成する際に必須のものです。

---

２. ユークリッドの互除法

---

ユークリッドの互除法は ２つの自然数（$a$ と $b$。$a>b$ とします）の最大公約数を求める計算方法です。これはユークリッドの数学書である『原論』にあります。『原論』は紀元前 300年頃の成立といいますから、2300年ほど前の書物ということになります。

この計算方法では、割り算（除算）を何ステップか繰り返します。割り算において被除数（＝割られる数）と除数（＝割る数）、商（＝答）、剰余（＝余り）の関係は、

被除数 ＝ 商 × 除数 ＋ 剰余

ですが、まず第１ステップとして、

被除数１	＝ $a$
除数１	＝ $b$

とおき、

被除数１ ＝ 商１ × 除数１ ＋ 剰余１

の計算をして、商１と剰余１を求めます。次に第２ステップとして、

被除数２	＝ 除数１
除数２	＝ 剰余１

とおいて割り算を行い、商２と剰余２を求めます。つまり、

被除数２ ＝ 商２ × 除数２ ＋ 剰余２

です。この「除数と剰余を新たな被除数と除数にして割り算をする」ステップを次々と繰り返して行くと、剰余は次第に小さくなっていき、ついには剰余がゼロ（＝ 被除数が除数で割り切れる）となります。この時点での除数（＝ 一つ前のステップの剰余）が $a$ と $b$ の最大公約数です。

なぜそうなるのかが以下ですが、ポイントは割り算の式から明らかなように「被除数と除数の公約数は、剰余の約数でもある」ことです。つまり $a$ と $b$ の約数であるという性質が剰余に引き継がれ、それは割り算のステップを繰り返してもずっと続きます。しかも、剰余はステップが進むにつれて小さくなっていくので、最大公約数に近づく。そして割り切れたときの除数（一つ前のステップの剰余）は、約数であると同時に最大の約数である。おおまかにはそのような理解です。

2.1	ユークリッドの互除法
$a$と $b$ を自然数とし、$a>b$ とする。 $\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-4}& =q_{i-2}·r_{i-3}+r_{i-2}& \text{ ⋯}& \text{(i−2)}\\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$ となったとき、 $\gcd \left(a,b\right)=r_i$ である。

$a$ と $b$（$a>b$）の公約数を $x$ とします。すると、$x|a$ かつ $x|b$ なので、$\text{(1)}$ 式から $x|r_1$ になります。この $x|r_1$ と $x|b$ から $\text{(2)}$ 式を使って $x|r_2$ が得られます。

その次には $x|r_1$ 、$x|r_2$ 、(3) 式から $x|r_3$ になる。以上を最後まで繰り返すと、次のようになります。

$\begin{array}{lllll}x|a\text{,}& x|b\text{,}& \text{(1)式}& \stackrel{}{\to }& x|r_1\\ x|b\text{,}& x|r_1\text{,}& \text{(2)式}& \stackrel{}{\to }& x|r_2\\ x|r_1\text{,}& x|r_2\text{,}& \text{(3)式}& \stackrel{}{\to }& x|r_3\\ \text{⋮}& & & & \\ x|r_{i-4}\text{,}& x|r_{i-3}\text{,}& \text{(i−2)式}& \stackrel{}{\to }& x|r_{i-2}\\ x|r_{i-3}\text{,}& x|r_{i-2}\text{,}& \text{(i−1)式}& \stackrel{}{\to }& x|r_{i-1}\\ x|r_{i-2}\text{,}& x|r_{i-1}\text{,}& \text{(i)式}& \stackrel{}{\to }& x|r_i\end{array}$

以上のように、最終的には $x|r_i$ となり、

$a$ と $b$ の公約数は $r_i$ の約数である

ことが示せました。同時に、

$a$ と $b$ の公約数の最大値は $r_i$ である

ことも分かります。

---

次に、ユークリッドの互除法の最終プロセスに現れる剰余は、全てのステップの剰余の約数になっていることを示します。このことを最終ステップから順に遡って検証すると、

となり、$r_i|b$ かつ $r_i|a$、つまり、

$r_i$ は $a$ と $b$ の公約数である

ことが示せました。

---

従って、

◆	$r_i$ は $a$ と $b$ の公約数である
◆	$a$ と $b$ の公約数の最大値は $r_i$ である

の２つから、$\gcd \left(a,b\right)=r_i$ が証明できました。

計算量

RSA暗号にとってのユークリッドの互除法の意味ですが、次の２つが重要です。まず第１に「２つの数の最大公約数は、素因数分解なしに計算できる」ことです。これはすなわち「２つの数が互いに素であることが素因数分解なしに示せる」ことも意味します。

我々が普通、学校で習う最大公約数の求め方は、２つの数を素因数分解して共通の素因数を探すというものでした。共通のものがなければ最大公約数は $1$（＝互いに素）です。しかし、数が巨大になると素因数分解が困難になります（それがRSA暗号が成り立つゆえんです）。ユークリッドの互除法を使うと「最大公約数」や「互いに素」が素因数分解なしに示せるのです。

第２は、ユークリッドの互除法が高速に計算できることです。ユークリッドの互除法では、一つのステップの剰余が次のステップの除数になります。次のステップの剰余は除数より小さいので、

$0<r_{i+1}<r_i$

となりますが、$r_{i+1}$ が $0$ に近いと計算は急速に収束します。また $r_{i+1}$ が $r_i$ に近い場合でも、その次のステップの商が大きくなり、$r_{i+2}$ が $0$ に近くなるので、計算は収束することになります。従って、最も計算が長引くのは、$r_{i+1}$ が $r_i$ の半分程度で、それが連続する場合だと推測できます。

実は、ユークリッドの互除法のステップが最も長くなるケースが知られています。それは 割り算の商が常に $1$ になるケースで、$a$ と $b$ が（たまたま）フィボナッチ数列の隣り合う２項だとそうなります。フィボナッチ数列とは、

$$\begin{gathered} F_0=0\text{, }{F}_1=1 \\ {F}_{n+2}=F_{n+1}+F_n \end{gathered}$$

で定義される数列で、実際に書いてみると、

$0,1,1,2,3,5,8,13,21,34,55,89,\cdots$

です。いま、$a=144$、$b=89$ としてユークリッドの互除法の計算をしてみると

となって、10ステップかかります。剰余が減る割合が常に 0.6 倍程度で、なかなか減りません。商が常に 1 なのでこうなります。しかし、なかなか減らないが毎回 0.6 倍程度にはなり、マクロ的には急速に小さくなる。証明は省略しますが、$a$ と $b$ が10進で $N$ 桁の数字でフィボナッチ数列の隣り合う２項だった場合でも、ユークリッドの互除法は $5\ast N$ ステップ以下で終了します。

これは $a$ と$b$ が300桁程度の数字のとき、それが偶然にもフィボナッチ級数の隣り合う２項であるという最悪の最悪の場合でも 1500回の割り算で終了することを意味します。この程度の計算はもちろんコンピュータで可能です。

---

本題に戻ります。最初の「RSA暗号の例題」のところで公開鍵の作り方を書きました。まず２つの素数、$p$ と $q$ を選び、$n=p·q$ とします。次に、$\left(p-1\right)\left(q-1\right)$ との最大公約数が $1$ であるような数（＝互いに素）を選び、それを $e$ とします。その $\left(e,n\right)$ のペアを公開鍵とするのでした。

$n$ と同程度の大きさの数、$e$ をランダムに選んだとき、その $e$ が $\left(p-1\right)\left(q-1\right)$ と互いに素であるかどうかは、ユークリッドの互除法で検証可能です。そしてこの検証は $p$ と $q$ が巨大な数であっても可能です。つまりユークリッドの互除法は公開鍵が現実に作成できるという数学的根拠になっています。

アルゴリズム

2.1 において、$a$ と $b$ の最大公約数は $r_i$ でしたが、この $r_i$ は (1)式における $b$ と $r_1$ の最大公約数にもなります。なぜなら、$b$ と $r_1$ の最大公約数を求めるためには (2)式から互除法の計算を始めればよく、その結果は $r_i$ になるからです。これは次を意味します。

2.1a
$a$と $b$ を自然数とし、$a>b$ とする。$a$ を $a=q·b+r\left(1\le q,0<r\right)$ と書き表せるとき、 $\gcd \left(a,b\right)=\gcd \left(b,r\right)$ である。

つまり、ユークリッドの互除法は

「	$a$ と $b$ の最大公約数を求める問題」を「より小さな数である $b$ と $r$ の最大公約数を求める問題」に置き換える

ものといえます。この置き換えは次々と可能で、置き換えるたびに問題がより "小さく" なっていく。これがユークリッドの互除法の本質です。

そのユークリッドの互除法は "世界最古のアルゴリズム" と言われています。そして、アルゴリズムを記述するのに最適な言語はプログラミング言語です。2.1a の考え方に基づき、ユークリッドの互除法で最大公約数を計算するプログラムを掲げます。

2.1b	アルゴリズム
ユークリッドの互除法で a と b の最大公約数を求める関数 EUCLID（Javascriptで記述） function EUCLID( a, b ) { 　if( a % b == 0 )  // ① 　　return b; 　else 　　return EUCLID( b, a % b ); }

①の "%" は Javascript の剰余演算子で、"a % b" は "a を b で割った余り" という意味です（a mod b と同じ）。なお、このプログラムは $a<b$ でも動作します。

もちろん、Javascript でなくても、C++ でも Python でも記述できます。このようにプログラムで書くと簡潔になって、ユークリッドの互除法というアルゴリズムの本質がクリアにわかります。

拡張ユークリッドの互除法

ユークリッドの互除法の "副産物" として、次の定理が成り立ちます。

2.2
$a$ と $b$ を自然数とする。このとき適当な整数 $u$、$v$ をとって、 $\gcd \left(a,b\right)=u·a+v·b$ と表せる。

この定理の証明ですが、ユークリッドの互除法の計算過程を振り返ると、

$\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$

でした。ここで $\text{(1)}$ を変形して、

$r_1=u_1·a+v_1·b$

とします。$u_1=1\text{, }{v}_1=-q_1$ です。次に、今求めた $r_1$ と $\text{(2)}$ を使うと、

$r_2=u_2·a+v_2·b$

の形に表せることになります。 です。さらに、求まった $r_1$ と $r_2$ と $\text{(3)}$ を使って、

$r_3=u_3·a+v_3·b$

と表せることが分かります。このステップを順に続けていって $\text{(i)}$ まで到達すると、

$r_i=u·a+v·b$
　$u$, $v$ は $q_j\left(1\le j\le i\right)$ の式

となることがわかります。$r_i=\gcd \left(a,b\right)$ だったので、2.2 が証明できました。$u$ と $v$ のうち、一つは正の整数、もう一つはゼロか負の整数です。一つがゼロであるのは、$a=b$ のときです。なお、2.2 を満たす $u$、$v$ に、

$u·a+v·b=0$

を満たす $u$、$v$ をそれぞれ足し込んでも 2.2 が成立することが明白です。つまり 2.2 を満たす $u$、$v$ は１組というわけではありません。

なお、2.2 は次のように言い換えることができます。

2.2a	不定方程式の整数解
$a$ と $b$ を自然数とする。このとき、不定方程式 $ax+by=\gcd \left(a,b\right)$ は整数解をもつ。

拡張ユークリッドの互除法のアルゴリズム

ユークリッドの互除法を拡張して、$a$ と $b$ が与えられたとき、$\gcd \left(a,b\right)$ と、

$au+bv=\gcd \left(a,b\right)$

を満たす $u$ と $v$（＝無数にある解のうちの一つのペア）を同時に計算してしまうアルゴリズムを考えてみます。

考え方は 2.1b のユークリッドの互除法と同じで、解くべき問題を「等価でより小さな問題」に置き換えます。そのために $a=qb+r$ とおくと、2.1a より、

$\gcd \left(a,b\right)=\gcd \left(b,r\right)$

なので、問題は次のように書き換えられます。

$\left(qb+r\right)u+bv=\gcd \left(b,r\right)$

ここで、未知数の $u$ と $v$ を次のように変換します。

$$\begin{gathered} u=V \\ v=U-qV \end{gathered}$$

これを代入して式を整理すると

$bU+rV=\gcd \left(b,r\right)$

となり、"小さな問題" に変換することができました。この考え方でアルゴリズムを記述すると次のとおりです。

2.2b	拡張ユークリッドの互除法
a と b から拡張ユークリッドの互除法で（u, v, 最大公約数）の３つを同時に求める関数 extdEUCLID（Javascriptで記述） function extdEUCLID( a, b ) { 　var r = a % b;  // ① 　if( r == 0 ) 　　return { u : 0, v : 1, gcd : b };  // ② 　else { 　　var q = Math.floor( a / b );  // ③ 　　var s = extdEUCLID( b, r );  // ④ 　　return { 　　　u : s.v,  // ⑤ 　　　v : (s.u - q * s.v),  // 　　　gcd : s.gcd  // 　　}; 　} }

以下は、このアルゴリズムの補足説明です。

①	var：変数の宣言。%：剰余演算子。
②	a が b で割り切れるなら解が求まる。自然な解を関数値として返す。関数値は３つの変数（u, v, gcd）をひとまとめにしたオブジェクト。
③	商を求め、小数点以下を切り捨て整数化する。Javascript には実数・整数の区別がないので整数化（組み込み関数の Math.floor）が必要。
④	小さな問題として計算する。
⑤	変数を元に戻して、関数値（u, v, gcd）を返す。

この拡張ユークリッドの互除法のアルゴリズムは、2.1b のユークリッドのアルゴリズムとほぼ同じです。ただし、$u$ と $v$ の計算のために変数を変換しているので、最大公約数を計算したあとに元の変数値を求める必要があります（＝⑤）。そこが違います。

このことから、拡張ユークリッドの互除法の計算量は、ユークリッドの互除法のほぼ２倍だと推測できます。計算は少々複雑になりますが、たとえ $\mathit{a}$ や $\mathit{b}$ が巨大な数であっても、コンピュータで高速に計算できる。このことは次の「整数の逆数」の項で述べるように、RSA暗号にとっての重要ポイントになります。

整数の逆数

2.2 から導かれる次の定理は、RSA暗号にとって重要です。

2.3	逆数の存在
$\gcd \left(a,m\right)=1$ なら（＝ $a$ と $m$ が互いに素なら）、 $a·b\equiv 1\left(modm\right)$ となる $b$ が存在する。この $b$ は $m$ と互いに素であり、$1\le b<m$ の範囲では一意に定まる（＝ $m$ を法として唯一）。

2.2 において $a$と互いに素な数 $m$ を選び、$b=m$ とおくと、$\gcd \left(a,m\right)=1$ なので、適当な $u$ と $v$ をとることにより、

$u·a+v·m=1$

とすることができます。すなわち、

$a·u\equiv 1\left(modm\right)$

となり、2.3 が示されました。このとき $a·u$ は $m$ と互いに素であり、また $a$ と $m$ は互いに素なので、$b$ も $m$ と互いに素になります。また、$b_1$ と $b_2$ の２つの解があるとすると、

$$\begin{gathered} a·b_1\equiv 1\left(modm\right) \\ a·b_2\equiv 1\left(modm\right) \\ a\left(b_1-b_2\right)\equiv 0\left(modm\right) \\ m|a\left(b_1-b_2\right) \end{gathered}$$

となり、$a$ と $m$ は互いに素なので 1.3a より、

$$\begin{gathered} m|\left(b_1-b_2\right) \\ {b}_1\equiv b_2\left(modm\right) \end{gathered}$$

となります。従って、$1\le b<m$ の範囲に $b$ があり、かつ、この範囲で $b$ は一意に定まります。$m$ を法として $b$ と合同な数も解であることは明白ですが、それらの解は $m$ を法として唯一です。

---

2.3 の "逆数" を計算するアルゴリズムは、拡張ユークリッドの互除法2.2 のアルゴリズム（2.2b）と基本的に同じです。

2.3a	逆数の計算アルゴリズム
m を法とする a の逆数を求める関数 INVERSE（Javascriptで記述） function INVERSE( a, m ) { 　var b = extdEUCLID( a, m ).u % m; // ① 　return ( b + m ) % m; // 　function extdEUCLID( a, b ) { 　　var r = a % b; 　　if( r == 0 ) 　　　return { u : 0, v : 1, gcd : b }; 　　else { 　　　var q = Math.floor( a / b ); 　　　var s = extdEUCLID( b, r ); 　　　return { 　　　　u : s.v, 　　　　v : (s.u - q * s.v), 　　　　gcd : s.gcd 　　　}; 　　} 　} // extdEUCLID 終わり // } // INVERSE 終わり

①で、extdEUCLID のアルゴリズム（2.2b）を使って $u$ を求め、それを $m$ 未満の自然数に直して答えの $b$ を求めています。（ b + m ）% m は b が負の場合の配慮です。このアルゴリズムは正確に言うと、$a$ と $m$ が与えられたとき、

$a·b\equiv \gcd \left(a,m\right)\left(modm\right)$

となる $b$ を求めるアルゴリズムです。$a$ と $m$ が互いに素でなくても成立します。

---

この "逆数の存在定理" は RSA暗号において秘密鍵の算出に使われています。冒頭の「RSA暗号の例題」に書いたように、RSA暗号の公開鍵と秘密鍵は、まず秘密の２つの素数 $p$ と $q$ を決め、

$n=p·q$

とします。そして $e$ を、

$\gcd \left(e,\left(p-1\right)\left(q-1\right)\right)=1$

となるように決め、$n$ と $e$ を公開鍵とするのでした。そして秘密鍵 $d$ を、

$d·e\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$

を満たす数とします。この秘密鍵 $d$ の計算は、$mod\left(p-1\right)\left(q-1\right)$ の世界で $e$ の逆数を求めていることに他なりません。逆数の存在が保証されるのは、$e$ を $\left(p-1\right)\left(q-1\right)$ と互いに素という条件で決めたからです。さらに、この逆数の計算アルゴリズムは 2.2b の拡張ユークリッドの互除法と同じなので高速に計算できることが重要ポイントです。

---

普通、整数の "逆数"は（整数の範囲で）定義できません（1以外は）。しかし、"$modm$ の合同の世界" では、$m$ と互いに素な数 $a$ に対して逆数が定義できることになります。つまり整数の範囲で「割り算」が定義できる。

たとえば $mod10$ の世界では $7\times 3=1$ であり、$7$ の逆数は $3$ です。割り算は逆数のかけ算なので、たとえば $8÷7=8\times 3=4$（$mod10$ の世界）といった演算が定義できます。"検算" をすると $4\times 7=8$（$mod10$ の世界）なので合っています。

$mod10$ の場合は実用的な意味はありませんが、$p$ を素数としたとき「$modp$ の世界」は大変重要です。というのも $p$ 未満の自然数はすべて $p$ と互いに素だからです。つまり $p$ 未満の全ての自然数に対して "逆数" が定義できます。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

2.3b はほとんど 2.3 と同じです。「異なる $a$ に対する逆数 $b$ は異なる」というところですが、もし $1\le i<j<p$ である $i$ と $j$ に対して、

$$\begin{gathered} i·b\equiv 1\left(modp\right) \\ j·b\equiv 1\left(modp\right) \end{gathered}$$

となったとすると、

$\left(j-i\right)·b\equiv 0\left(modp\right)$

ですが、$\left(j-i\right)$ も $b$ も $p$ と素なので矛盾します。異なる $a$ に対する逆数 $b$ は異なります。

このように逆数が存在するということは、$p$ 未満の２つの自然数の "除算" が定義できます。さらに、$0$ と $p$ 未満の自然数を合わせると加減乗除が行えることになります。

加減乗除が定義された集合を「体（Field）」と呼びます。有理数、実数、複素数は「体」ですが、「$0$ と $p$ 未満の自然数」も体になります。これを ${\mathbb{F}}_p$ と表記します。この集合の要素の数は有限個なので「有限体」です。 ${\mathbb{F}}_{13}$ の場合（$mod13$）で "逆数" の計算をしてみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となり、$0$ 以外の ${\mathbb{F}}_{13}$ の要素は、その逆数（＝逆元）と１対１に対応していることがわかります。

${\mathbb{F}}_p$ においては "整数" の加減乗除を "自由かつ厳密に" 行うことができます。これは、全ての情報を２進数に帰着させて扱うデジタル・コンピュータとの相性がよい。このため、公開鍵暗号の中には ${\mathbb{F}}_p$ の演算を利用したものがあります。

なお、$p$ を素数としたとき「$p$ 未満の自然数はすべて $p$ と互いに素」ということは「$\left(p-1\right)!$ と $p$ は互いに素」ということです（" $!$ " は階乗記号）。これは次の「フェルマの小定理」の証明に出てきます。

---

３. フェルマの小定理

---

フェルマの小定理は RSA暗号の根幹にかかわるものです。フェルマは17世紀フランスの大数学者（1607-1665）で、有名なフェルマの最終定理（大定理）と区別するために「小定理」の名があります。

3.1	フェルマの小定理
$p$ を素数とし、$a$ を $p$ とは素な数とすると、 $a^{p-1}\equiv 1\left(modp\right)$ が成り立つ。

これは少々意外な定理です。我々が学校で習う素数は、自身と $1$ 以外の約数を持たない数という定義か、素因数分解の定理か、そういうものです。「素数がもつ性質」に言及した定理はあまり思い浮かばない。しかしフェルマの小定理は、素数であれば必ずこうなると言っているわけです。これは次のように証明できます。

$1,2,3,\dots ,p-1$ のそれぞれに $a$ をかけて、

$a,2a,3a,\dots ,\left(p-1\right)a$

という数列を作ります。そして、それぞれの数を $p$ で割った剰余を $b_i$ とします。つまり、

$\begin{array}{rll}a& \equiv b_1& \left(modp\right)\\ 2a& \equiv b_2& \left(modp\right)\\ 3a& \equiv b_3& \left(modp\right)\\ \text{⋮}& & \\ \left(p-1\right)a& \equiv b_{p-1}& \left(modp\right)\end{array}$

です。$p$ は素数なので $1$ から $\left(p-1\right)$ までの数は $p$ と素であり、また $a$ は仮定により $p$ と素です。従って $b_i$ が $0$ になることはなく、$1\le b_i\le \left(p-1\right)$ です。このとき、$1\le i\text{, }j\le \left(p-1\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $b_i\ne b_j$

になります。なぜなら、もし $b_i=b_j$ とすると、1.1b（合同式の減算）より、

$\left(i-j\right)a\equiv 0\left(modp\right)$

です。仮定より $a$ は $p$ と互いに素なので、1.3 により（1.3 で $b=0$ の場合）、

$\left(i-j\right)\equiv 0\left(modp\right)$

となりますが、$1\le i\text{, }j\le \left(p-1\right)$ なので、

$i=j$

となり仮定に反します。つまり$i\ne j$ であれば、必ず $b_i\ne b_j$ です。ということは、$\left(p-1\right)$ 個の数、$b_i\left(1\le i\le p-1\right)$ は全て違う数であり、つまり、$1,2,3,\dots ,p-1$ を並び替えたものです。従って、$b_i$ を全部かけ算すると、

$b_1{b}_2{b}_3\dots b_{p-1}=\left(p-1\right)!$

となります。そこで、1.1c（合同式の乗算）を上の $\left(p-1\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせてしまうと、

$$\begin{gathered} \left(p-1\right)!·a^{p-1} \\ \equiv b_1{b}_2{b}_3\dots b_{p-1}\left(modp\right) \\ \equiv \left(p-1\right)!\left(modp\right) \end{gathered}$$

となります。ここで、$p$ は素数なので $p$ と $\left(p-1\right)!$ は互いに素です。すると 1.3 により、

$a^{p-1}\equiv 1\left(modp\right)$

となり、証明が完成しました。

（次回に続く）

---

タグ：公開鍵暗号 公開鍵 秘密鍵 RSA暗号 ディフィー ヘルマン リベスト シャミア エーデルマン 平文 暗号文 累乗 冪乗 因数 約数 公約数 最大公約数 素数 素因数分解 合成数 互いに素 合同 ユークリッドの互除法 フィボナッチ数列 アルゴリズム JavaScript 拡張ユークリッドの互除法 フェルマの小定理